klient chce wiedzieć, jak zabezpieczony jest nasz dostawca usług w chmurze, co tam wpisuję

To pytanie dotyczy nadzoru w łańcuchu dostaw, a nie twojego własnego bezpieczeństwa

To należy do artykułu 21 ust. 2 lit. d dyrektywy NIS2: bezpieczeństwo w łańcuchu dostaw, w tym relacja z własnymi dostawcami. Klient nie pyta tutaj, czy twoje systemy są bezpieczne, ale czy wiesz i możesz wykazać, że dostawca usług w chmurze to robi. To inny dokument dowodowy niż na przykład twoja własna polityka dostępu lub twoja własna polityka szyfrowania.

Odpowiedź zazwyczaj składa się z dwóch warstw. Po pierwsze: czy sam postawiłeś wymagania bezpieczeństwa temu dostawcy, umownie lub przy wyborze? Odpowiadasz na to na podstawie własnego dokumentu zakupowego, a nie na podstawie tego, co twierdzi dostawca. Następnie: co wykazuje sam dostawca? Poproś o dokument dowodowy, który zwykle już udostępnia klientom — certyfikat ISO 27001 ze stwierdzeniem zakresu, raport SOC 2 lub podsumowanie jego środków NIS2, jeśli sam podlega dyrektywie. Jeśli nie masz tego certyfikatu w swoim dokumentacji, to "nie" lub "nieznane" to właściwa odpowiedź — nie "tak" na podstawie założenia. Jest to zgodne z wymogami bezpieczeństwa stawianych przez przedsiębiorstwo swoim własnym dostawcom: dokument ten powinien się tam standardowo znajdujać, nawet jeśli chodzi o jednego dużego partnera chmury zamiast długiego łańcucha towarów i usług.

Skąd pochodzi dowód: Aneks A versus umowa

ISO/IEC 27001 Aneks A nie zawiera odrębnego elementu "bezpieczeństwa chmury"; dowód jest rozproszony w środkach kontroli dotyczących relacji z dostawcami i dostępu. W praktyce oznacza to: najpierw sprawdź, czy siebie już ustaliłeś, jaka polityka dostępu i zarządzanie zasobami przedsiębiorstwa mają zastosowanie, ponieważ tam często określone jest również, w jaki sposób regulowany jest dostęp do środowiska chmury. Dla samego dostawcy certyfikat lub raport audytu są źródłem dowodu, a nie Twoje oświadczenie dotyczące jego systemów — nie możesz bowiem potwierdzić w imieniu dostawcy, co robi wewnętrznie.

Na czym to się opiera

Sama rozporządzenie znajduje się na EUR-Lex. Powołujemy się na każde stwierdzenie; nie musisz nam wierzyć.

Co konkretnie musisz zrobić

Szczegóły dla każdego obowiązku, wraz z mającymi zastosowanie terminami i szablonami do ich dokumentacji, znajdują się w subskrypcji.

Zapoznaj się z subskrypcją Najpierw bezpłatny szybki przegląd

To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.

Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.